Spring Security中authorizeExchange与authorizeRequests区别及Webflux路径匹配方案

问题原因 #

Spring Security Webflux 中pathMatchers()方法默认使用PathPattern解析器处理路径规则，它对Ant风格路径的支持和传统Servlet环境的AntPathMatcher基本一致，配置/admin/**/test这类规则时报错，通常是版本兼容性问题或API使用不当导致的。

解决方法 #

方案1：直接使用pathMatchers配置（推荐）

Spring Security 5.4及以上稳定版本已原生支持/admin/**/test这类多层通配的Ant风格路径，直接按常规方式配置即可：

http.authorizeExchange(exchanges -> exchanges
        .pathMatchers("/admin/**/test", "/admin/**")
        .permitAll()
        .anyExchange()
        .authenticated()
);

如果配置后仍报错，优先将Spring Security升级到对应大版本的最新稳定版即可解决已知的路径解析bug。

方案2：自定义匹配器兼容特殊场景

如果因为依赖版本限制无法升级，或者需要使用更自定义的匹配逻辑，可以手动引入AntPathMatcher构造匹配规则：

// 初始化Ant路径匹配器
AntPathMatcher antPathMatcher = new AntPathMatcher();

http.authorizeExchange(exchanges -> exchanges
        .matchers(exchange -> {
            String requestPath = exchange.getRequest().getPath().value();
            return Mono.just(antPathMatcher.match("/admin/**/test", requestPath));
        })
        .permitAll()
        .anyExchange()
        .authenticated()
);

注意事项 #

• PathPattern是Spring 5推出的高性能路径解析工具，语法和AntPathMatcher几乎完全兼容，常规Ant路径规则都可以直接使用，无需额外适配。
• 优先选择方案1，PathPattern的性能远高于传统的AntPathMatcher，更适合Webflux的异步高并发场景。

内容的提问来源于stack exchange，提问作者Jimmy Guo